په آلمان کې د څو پوهنتونونو د څیړونکو یوې ډلې په HTTPS باندې یو نوی MITM برید رامینځته کړی چې کولی شي د سیشن کوکیز او نور حساس معلومات استخراج کړي ، او همدارنګه د بل سایټ په شرایطو کې د خپل سري جاواسکریپټ کوډ اجرا کړي. برید د ALPACA په نوم یادیږي او د TLS سرورونو کې پلي کیدی شي چې د مختلف غوښتنلیک پرت پروتوکولونه پلي کوي (HTTPS, SFTP, SMTP, IMAP, POP3) ، مګر د TLS عام سندونه کاروي.
د برید جوهر دا دی چې که هغه د شبکې دروازې یا د بې سیم لاسرسي نقطه کنټرول ولري ، برید کونکی کولی شي ویب ټرافیک د شبکې بل بندر ته واستوي او د FTP یا میل سرور سره د اړیکې رامینځته کول تنظیم کړي چې د TLS کوډ کولو ملاتړ کوي او د یو بل څخه کار اخلي. د TLS سند د HTTP سرور سره عام دی، او د کارونکي براوزر به فرض کړي چې د غوښتل شوي HTTP سرور سره اړیکه جوړه شوې. څرنګه چې د TLS پروتوکول نړیوال دی او د غوښتنلیک کچې پروتوکولونو پورې تړلی نه دی، د ټولو خدماتو لپاره د کوډ شوي پیوستون رامینځته کول یو شان دي او غلط خدمت ته د غوښتنې لیږلو تېروتنه یوازې د کوډ شوي ناستې رامینځته کولو وروسته ټاکل کیدی شي کله چې د پروسس کولو پرمهال. د لیږل شوي غوښتنې حکمونه.
په دې اساس، که د مثال په توګه، تاسو د یو کارن اتصال چې په اصل کې HTTPS ته په نښه شوي یو میل سرور ته لیږل کیږي چې د HTTPS سرور سره شریک شوی سند کاروي، د TLS اتصال به په بریالیتوب سره تاسیس شي، مګر د میل سرور به نشي کولی لیږدول شوي پروسس کړي. HTTP امر کوي او د غلطۍ کوډ سره به ځواب بیرته راولي. دا ځواب به د براوزر لخوا د غوښتل شوي سایټ څخه د ځواب په توګه پروسس شي، په سمه توګه تاسیس شوي کوډ شوي ارتباطي چینل کې لیږدول کیږي.
د برید درې اختیارونه وړاندیز شوي:
- "اپلوډ" د تصدیق کولو پیرامیټونو سره د کوکي ترلاسه کولو لپاره. دا طریقه د تطبیق وړ ده که چیرې د TLS سند لخوا پوښل شوي FTP سرور تاسو ته اجازه درکوي چې د هغې ډاټا ډاونلوډ او ترلاسه کړئ. پدې برید کې ، برید کونکی کولی شي د کارونکي اصلي HTTP غوښتنې برخې ساتل ترلاسه کړي ، لکه د کوکي سرلیک مینځپانګې ، د مثال په توګه ، که د FTP سرور غوښتنه د خوندي فایل په توګه تشریح کړي یا راتلونکي غوښتنې په بشپړ ډول لاګ کړي. په بریالیتوب سره برید کولو لپاره، برید کونکی بیا اړتیا لري چې په یو ډول ذخیره شوي مینځپانګې استخراج کړي. برید په Proftpd، مایکروسافټ IIS، vsftpd، filezilla او serv-u باندې د تطبیق وړ دی.
- د کراس سایټ سکریپټینګ تنظیم کولو لپاره "ډاونلوډ" (XSS). میتود پدې معنی دی چې برید کونکی ، د ځینې انفرادي لاسوهنو په پایله کې ، کولی شي معلومات په داسې خدمت کې ځای په ځای کړي چې د TLS یو عام سند کاروي ، کوم چې بیا د کارونکي غوښتنې په ځواب کې صادر کیدی شي. برید د پورته ذکر شوي FTP سرورونو ، IMAP سرورونو او POP3 سرورونو (کوریر ، سایرس ، کیریو کنیکٹ او زیمبرا) باندې پلي کیږي.
- د بل سایټ په شرایطو کې جاواسکریپټ چلولو لپاره "انعکاس". میتود د غوښتنې د پیرودونکي برخې ته د بیرته راستنیدو پراساس دی ، کوم چې د برید کونکي لخوا لیږل شوی جاواسکریپټ کوډ لري. برید د پورته ذکر شوي FTP سرورونو ، سایرس ، کیریو کنیکٹ او زیمبرا IMAP سرورونو ، او همدارنګه د لیږل شوي SMTP سرور باندې پلي کیږي.
د مثال په توګه، کله چې یو کارن د برید کونکي لخوا کنټرول شوی پاڼه پرانیزي، دا پاڼه کولی شي د یوې سایټ څخه د سرچینې لپاره غوښتنه پیل کړي چیرې چې کاروونکي فعال حساب لري (د مثال په توګه، bank.com). د MITM برید په جریان کې، دا غوښتنه د bank.com ویب پاڼې ته لیږل کیدی شي د بریښنالیک سرور ته لیږل کیدی شي چې د TLS سند کاروي چې د bank.com سره شریک شوی. څرنګه چې د میل سرور د لومړۍ خطا وروسته ناسته نه ختموي، د خدماتو سرلیکونه او کمانډونه لکه "POST/HTTP/1.1" او "Host:" به د نامعلوم کمانډونو په توګه پروسس شي (د میل سرور به د "500 ناپیژندل شوي قوماندې" لپاره بیرته راستانه شي. هر سرلیک).
د میل سرور د HTTP پروتوکول په ځانګړتیاو نه پوهیږي او د دې لپاره د خدماتو سرلیکونه او د POST غوښتنې ډیټا بلاک په ورته ډول پروسس کیږي ، نو د POST غوښتنې په بدن کې تاسو کولی شئ د قوماندې سره کرښه مشخص کړئ. د میل سرور. د مثال په توګه، تاسو کولی شئ: له میل څخه: alert(1); کوم ته چې د میل سرور به د 501 خطا پیغام بیرته راولي alert(1); : ناسم پته: خبرتیا(1); ممکن تعقیب نشي
دا ځواب به د کارونکي براوزر لخوا ترلاسه شي، کوم چې به د جاوا سکریپټ کوډ د برید کونکي د ابتدايي پرانیستې ویب پاڼې په شرایطو کې اجرا کړي، مګر د bank.com ویب پاڼې چې غوښتنه یې لیږل شوې وه، ځکه چې ځواب د سم TLS سیشن کې راغلی. ، کوم سند چې د bank.com ځواب صداقت تاییدوي.
د نړیوالې شبکې سکین ښودلې چې په عموم کې ، شاوخوا 1.4 ملیون ویب سرورونه د ستونزې لخوا اغیزمن شوي ، د کوم لپاره چې د مختلف پروتوکولونو په کارولو سره د غوښتنې مخلوط کولو سره برید ترسره کیدی شي. د ریښتیني برید احتمال د 119 زره ویب سرورونو لپاره ټاکل شوی و چې د نورو غوښتنلیک پروتوکولونو پراساس د TLS سرورونو سره ملګري وو.
د استحصال مثالونه د ftp سرورونو لپاره چمتو شوي دي pureftpd, proftpd, microsoft-ftp, vsftpd, filezilla and serv-u, IMAP او POP3 سرورونه dovecot، کوریر، ایکسچینج، سایرس، کیریو-کنیک او زیمبرا، د SMTP سرورونو پوسټ فکس، ایکسیمیل، لیږل , mailenable, mdaemon او opensmtpd. څیړونکو یوازې د FTP، SMTP، IMAP او POP3 سرورونو سره په ګډه د برید ترسره کولو احتمال مطالعه کړی، مګر دا ممکنه ده چې ستونزه د نورو غوښتنلیک پروتوکولونو لپاره هم واقع شي چې TLS کاروي.
د برید مخنیوي لپاره ، وړاندیز شوی چې د ALPN (د غوښتنلیک پرت پروتوکول خبرو اترو) توسیع وکاروئ ترڅو د TLS ناستې لپاره د غوښتنلیک پروتوکول او SNI (د سرور نوم اشاره) توسیع په پام کې نیولو سره د کارولو په حالت کې د کوربه نوم سره وصل شي. د TLS سندونه چې ډیری ډومین نومونه پوښي. د غوښتنلیک په اړخ کې ، سپارښتنه کیږي چې د کمانډ پروسس کولو پرمهال د غلطیو شمیر محدود کړئ ، وروسته له دې چې پیوستون وتړل شي. د برید د مخنیوي لپاره د اقداماتو د پراختیا بهیر د تیر کال په اکتوبر میاشت کې پیل شو. ورته امنیتي تدابیر لا دمخه په Nginx 1.21.0 (میل پراکسي)، Vsftpd 3.0.4، Courier 5.1.0، Sendmail، FileZill، crypto/tls (Go) او انټرنیټ اکسپلورر کې اخیستل شوي دي.
سرچینه: opennet.ru